Как проверить Fraud Score IP: гайд по скорингу и параметрам IPQS и Scamalytics

При проверке прокси новички чаще всего совершают одну ошибку — ориентируются исключительно на Fraud Score. Увидев 20 баллов, считают IP «чистым», а при 80 — спешат его сменить. Однако сам по себе этот показатель вне контекста конкретного чекера не имеет универсального значения. И IPQS, и Scamalytics оценивают риск по шкале от 0 до 100, но их логика принципиально различается: IPQS считает оценку 75+ сигналом к подозрению, тогда как в Scamalytics даже скромные 20 баллов могут помечаться как Medium Risk (средний риск).

При реальной оценке следует сначала понять методологию выбранного сервиса, а затем детально изучить конкретные параметры: Proxy, Recent Abuse, Bot Status, Abuse Velocity, Connection Type и др. Если данные двух сервисов противоречат друг другу, ищите расхождения в конкретных факторах риска, а не просто сравнивайте цифры. Универсального ответа на вопрос «какой скоринг считается нормальным» без привязки к конкретному инструменту проверки просто не существует.

1. Fraud Score — это не единый показатель «чистоты IP»

Fraud Score (фрод-скор) — это оценка степени риска IP-адреса или соединения, которую антифрод-сервис рассчитывает на основе собственных баз данных и алгоритмов. Многие сервисы используют привычную шкалу от 0 до 100, создавая иллюзию единого стандарта, однако значение этих баллов всегда нужно трактовать строго по правилам конкретного сервиса.

Поэтому популярные в сети шаблоны вроде «0–30 — чистый, 30–70 — средний, 70+ — мусор» нельзя бездумно применять ко всем чекерам подряд. Как минимум необходимо понимать, о какой базе идет речь — IPQS, Scamalytics или других сканерах, иначе оценка по абстрактным диапазонам не несет реальной практической ценности.

Fraud Score также не следует путать с блэклистами (черными списками) и типами сетей. Попадание в Blacklist лишь фиксирует присутствие IP в определенной базе спамеров; Connection Type определяет категорию соединения — Residential (резидентский), Mobile (мобильный), Corporate (корпоративный) или Data Center (серверный/ЦОД); а параметр Recent Abuse отражает наличие подтвержденных жалоб и вредоносной активности за последнее время. Все эти сигналы взаимосвязаны, но оценивают совершенно разные аспекты.

Кроме того, сторонний Fraud Score нельзя напрямую проецировать на уровень траста, выживаемость аккаунтов или успешность регистраций на конкретных сайтах. Он лишь показывает оценку соединения отдельной аналитической базой, но не гарантирует, что целевая площадка вынесет аналогичный вердикт.

Если вы еще не проверяли реальный выходной IP, тип сети, блэклисты и возможные утечки со стороны браузера, рекомендуем сначала выполнить базовую проверку по нашему полному руководству по проверке чистоты прокси. После этого детальный анализ параметров IPQS или Scamalytics будет гораздо эффективнее.

2. Как читать Fraud Score в IPQS: почему пороги 75, 85 и 90 не являются жесткими рамками

В сервисе IPQualityScore (IPQS) показатель Fraud Score варьируется от 0 до 100: чем выше балл, тем более явные риски обнаружила система.

В официальной документации Proxy Detection API прямо сказано: Fraud Score ≥75 считается подозрительным (suspicious), но не всегда означает прямое мошенничество; ≥90 классифицируется как высокий риск (high risk), и такой трафик рекомендуется помечать или блокировать. При этом в разделе рекомендаций (Best Practices) порог 85+ описывается как подозрительная активность (suspicious activity), а 90+ — как явное вредоносное поведение и спам (abusive and malicious behavior).

Эти официальные пояснения служат ориентиром для понимания того, как нарастает уровень угрозы, а не поводом составлять догматичную таблицу «0–74, 75–84, 85–89, 90+».

Значение около 75 баллов сигнализирует о том, что происхождение риска стоит проверить внимательнее; в районе 85 баллов необходимо тщательно изучить статус прокси, недавние жалобы и признаки активности ботов; а при 90+ баллах IP попадает в зону повышенного внимания. Но не стоит категорично утверждать, что «на 74 работать можно, а на 75 — нельзя»: в IPQS отмечают, что фактический порог чувствительности каждый сервис настраивает под свою допустимую степень риска.

Смотрите не только на общий балл, но и на факторы риска

В отчетах IPQS, помимо самого Fraud Score, особого внимания заслуживают поля: recent_abuse, abuse_velocity, bot_status, frequent_abuser, proxy и connection_type. Сервис прямо рекомендует оценивать их в комплексе.

Это намного практичнее, чем запоминать одну абстрактную цифру. У двух IP-адресов может быть схожий фрод-скор, но совершенно разная природа риска: один адрес всего лишь определился как прокси-сервер, а со второго совсем недавно фиксировались реальные атаки или рассылки спама.

Почему один и тот же IP может получать разные оценки в IPQS

Fraud Score в IPQS не всегда рассчитывается исключительно по IP-адресу. Согласно документации, скоринг может учитывать User-Agent, языковые заголовки браузера и другие переменные. Кроме того, в IPQS Advanced Options можно настраивать такие параметры, как strictness, lighter_penalties, allow_public_access_points.

Уровень строгости strictness варьируется от 0 до 3: чем он выше, тем жестче проверка, однако на уровнях 2 и 3 возрастает вероятность ложных срабатываний (false positives). А при включении lighter_penalties штрафные баллы для IP со смешанной репутацией могут быть снижены. Поэтому разница в результатах между веб-чекером и различными настройками API — абсолютно нормальное явление. Перед сравнением убедитесь в идентичности условий проверки.

Не путайте Risk Score и Fraud Score

При передаче данных о транзакциях или пользователях некоторые API IPQS возвращают параметр transaction_details.risk_score. Он также измеряется по шкале 0—100, но оценивает благонадежность поведения конкретного пользователя или транзакции. При этом в Risk Score вес репутации самого IP (IP reputation) значительно ниже, чем в Fraud Score. Этот блок параметров заполняется только при передаче транзакционных данных.

Поэтому упрощенная формула «Fraud Score оценивает прошлое, а Risk Score — текущий момент» удобна для запоминания, но не совсем точна. Корректнее понимать это так: они работают с разным набором данных и весовых коэффициентов, а при обычной разовой проверке IP параметр Risk Score попросту не возвращается.

3. Как устроен Fraud Score в Scamalytics: почему нельзя судить по меркам IPQS

Scamalytics также выставляет оценку Fraud Score от 0 до 100, однако интерпретируется этот балл совершенно иначе, чем в IPQS.

Если у Scamalytics есть возможность напрямую отслеживать веб-трафик с проверяемого IP, сервис объясняет данный показатель как долю подозрительного или мошеннического веб-трафика в общем объеме зафиксированных запросов. При этом чекер четко предупреждает: вывод строится только на доступных ему данных, тогда как не-веб трафик (non-web traffic) может иметь абсолютно иной профиль риска.

Если по конкретному IP прямых данных недостаточно, Scamalytics может опереться на общую репутацию провайдера связи или подсети. В отчетах нередко встречается формулировка: «прямой веб-трафик с данного IP не зафиксирован, оценка выставлена на основе общего скоринга оператора».

Поэтому 60 баллов в Scamalytics не означают, что «вероятность мошенничества составляет 60%». Точнее будет сказать: это расчетная оценка риска, сформированная в рамках доступной сервису выборки веб-трафика.

Какой балл в Scamalytics считается нормальным?

Вместо того чтобы изобретать собственные рамки, надежнее ориентироваться на связку Fraud Score и текстовой метки Risk в отчете чекера. В результатах Scamalytics нередко можно увидеть, что Fraud Score 20 соответствует Medium Risk, Fraud Score 64 — High Risk, а Fraud Score 93 — Very high Risk.

Эти примеры наглядно показывают: к Scamalytics ни в коем случае нельзя механически применять пороговые значения 75, 85 и 90 от IPQS. Анализ Fraud Score в связке с уровнем Risk, данными Operator, ISP и флагом Proxy гораздо надежнее, чем слепое следование сторонним «универсальным шкалам».

4. IPQS показывает низкий балл, а Scamalytics — высокий: кому верить?

Классический пример: в IPQS у прокси всего 10–15 баллов, а Scamalytics помечает его как High Risk. В такой ситуации не нужно торопиться выяснять, какой инструмент «точнее». У этих платформ разные охваты баз данных и алгоритмы: IPQS способен анализировать User-Agent, языки и параметры strictness, тогда как Scamalytics оценивает историю веб-трафика самого IP или всей подсети оператора.

Таким образом, 50 баллов в IPQS и 50 баллов в Scamalytics — это совершенно разные метрики. Их нельзя сопоставлять напрямую, а тем более складывать и вычислять среднее арифметическое.

При явном расхождении данных проведите перекрестную проверку параметров: зафиксировал ли один из чекеров Recent Abuse? Совпадает ли статус Proxy? Одинаков ли Connection Type? Оценивает ли Scamalytics конкретный адрес или провайдера целиком? Разница в цифрах — лишь внешнее проявление; реальная причина всегда кроется в конкретных факторах риска.

5. Как читать параметры: Proxy, Recent Abuse, Bot Status и другие

Один отчет IPQS может содержать более десятка параметров, и нет необходимости придавать каждому из них одинаковый вес. Достаточно сфокусироваться на трех ключевых блоках: тип подключения, недавняя активность и происхождение сети.

Параметр Proxy: характеристика типа соединения

Поле proxy служит для обнаружения признаков прокси-соединений и анонимайзеров.

Поэтому статус Proxy: Yes указывает исключительно на то, что чекер распознал прокси или VPN-туннель, а не на то, что «у этого IP безнадежно плохая репутация».

Recent Abuse и Abuse Velocity: динамика недавних нарушений

Флаг recent_abuse показывает, фиксировал ли IPQS за последние несколько дней подтвержденные злоупотребления с данного адреса: захват учетных записей (Account Takeover), зараженные ботнетом устройства, массовые фейковые регистрации, бот-атаки и спам.

Параметр abuse_velocity отражает частоту и скорость появления нарушений (значения: high, medium, low, none); а bot_status показывает, была ли замечена автоматизированная бот-активность в мошеннических действиях.

В тарифах уровня Enterprise также доступно поле frequent_abuser — оно выделяет адреса с хронической историей абузов на протяжении 6 месяцев и более. Это помогает отличить постоянные источники угроз от резидентских IP, которые были кратковременно скомпрометированы вредоносным ПО или ботнетом. Поэтому, даже если Fraud Score невысок, статус recent_abuse=true требует обязательного внимания.

Connection Type: исключительно категория сети

IPQS подразделяет Connection Type на категории: Residential (домашний интернет/резидентский), Corporate (корпоративный), Education (образовательные учреждения), Mobile (мобильные сети) и Data Center (ЦОД/дата-центры). Главная ошибка пользователей — напрямую приравнивать категорию сети к уровню доверия.

Резидентский IP вполне может иметь высокий Fraud Score из-за заражения устройства домашнего пользователя вирусами или участия в ботнете. В то же время серверный IP из качественного дата-центра может обладать минимальным скорингом. Категория сети и история нарушений — это абсолютно независимые метрики.

Если вы столкнулись с ситуацией «купили резидентский IP, а по данным ISP, Organization и ASN светится хостинг-провайдер», рекомендуем изучить материал Как проверить подлинность и чистоту резидентских IP, чтобы провести детальную верификацию, а не судить исключительно по Fraud Score.

6. Что делать при конфликте метрик: матрица принятия решений

На практике редко бывает так, что все индикаторы разом горят зеленым или красным. Намного чаще результаты проверок выглядят противоречивыми.

Комбинация результатов	Анализ причин	Рекомендации по действиям
Низкий Fraud Score + нет Recent Abuse	Явных признаков недавней подозрительной активности не обнаружено	Если остальные ключевые параметры в норме — можно уверенно использовать
Высокий Fraud Score + чист в публичных блэклистах	Антифрод-модель зафиксировала аномалии, но в публичные базы IP еще не попал	Проверить причины: флаги Proxy, Bot Status, недавние жалобы на спам
Низкий Fraud Score + Recent Abuse=true	Общий балл еще не вырос, но в системе зафиксированы подтвержденные свежие абузы	Уточнить характер нарушений и точную дату недавней активности
Residential + статус Proxy	Принадлежит домашнему провайдеру, но определен как прокси-соединение	Проверить подлинность резидентского типа и причину срабатывания детектора прокси
Data Center + низкий Fraud Score	Серверный IP из ЦОД, но с чистой репутацией без спама и атак	Использовать, если целевой сервис не блокирует серверные подсети поголовно
Сильное расхождение между IPQS и Scamalytics	Разница в методологии баз, охвате трафика или настройках строгости API	Сравнить параметры попунктно, не пытаясь высчитать средний балл

Две ситуации вызывают больше всего заблуждений. Первая: высокий Fraud Score при отсутствии IP в публичных черных списках. Здесь нет противоречия: скоринг формируется с учетом активности ботов, прокси-признаков и закрытой аналитики вендора, тогда как у публичных блэклистов действуют свои независимые правила листинга. Отсутствие в блэклистах вовсе не означает, что фрод-скор обязан быть низким.

Вторая ситуация: низкий Fraud Score при наличии флага Recent Abuse=true. Игнорировать это опасно: в IPQS прямо рекомендуют сопоставлять общий балл с метриками Recent Abuse, Abuse Velocity и Bot Status. Подробный разбор листов Spamhaus, отчетов AbuseIPDB и типов абузов мы разберем в отдельной статье.

Пример практического разбора проверки

Представим, что чекер выдал следующий отчет по IP-адресу:

· Fraud Score: 82
· Proxy: false
· Bot Status: false
· Recent Abuse: true
· Abuse Velocity: medium
· Connection Type: Residential

По одной цифре «82» нельзя составить полную картину. Метка Residential указывает на домашнее подключение; Proxy: false означает отсутствие явных признаков анонимайзера. Главный тревожный сигнал здесь — Recent Abuse=true в сочетании с Abuse Velocity=medium: с этого IP недавно велась подтвержденная вредоносная активность, причем с ощутимой интенсивностью.

Вопрос уже не в том, «пройдет ли 82 балла», а в том, почему с обычного домашнего провайдера шли атаки или спам. Бессмысленно перебирать другие чекеры в надежде увидеть более красивую цифру. Гораздо практичнее уточнить дату последних абузов по другим базам. Если для вашей работы критичен высокий траст, не стоит закрывать глаза на историю только ради плашки Residential.

7. Итоговый алгоритм: использовать, перепроверить или заменить IP

Поняв механику Fraud Score, не нужно стремиться к мифическому «абсолютно идеальному IP». Если основные показатели в норме — продолжайте работу. Когда фрод-скор адекватен, нет предупреждений Recent Abuse, Bot Status или подозрительного Abuse Velocity, а тип сети соответствует заявленному — не тратьте время на постоянную замену прокси ради погони за минимальными цифрами.

При явных нестыковках — проведите аудит. Если оценки IPQS и Scamalytics радикально отличаются, у Residential горит флаг Proxy, при низком балле активен Recent Abuse или результаты «скачут» при повторных проверках — перепроверьте реальный выходной адрес, тип сети, блэклисты, а также возможные утечки через WebRTC, DNS и IPv6. В этом поможет наше руководство по полной проверке прокси.

При совпадении нескольких сигналов риска — сразу меняйте прокси. Если высокий Fraud Score сопровождается метками Recent Abuse, Bot Status или постоянным Abuse Velocity, и повторная проверка дает тот же результат — не пытайтесь оправдать использование такого IP. Проще и быстрее сразу переключиться на другой прокси и проверить его в тех же условиях.

Прокси необходимо сочетать с антидетект-браузером

При мультиаккаунтинге одной смены прокси недостаточно. Прокси решает задачу подмены сетевого адреса, тогда как цифровой отпечаток (браузерный фингерпринт), куки, локальное хранилище (Local Storage), шрифты, язык и таймзона относятся к параметрам самого браузера. Если работать с разными аккаунтами в одном браузере, системы безопасности мгновенно свяжут их по одинаковым отпечаткам. Чтобы исключить риск взаимной ассоциации профилей, прокси всегда используют в паре с надежным антидетект-браузером.

Антидетект-браузер BitBrowser позволяет создавать изолированные профили для каждого аккаунта с индивидуальной привязкой прокси, собственными файлами cookie и хранилищем Local Storage. Это обеспечивает полную изоляцию как сетевого соединения, так и браузерной среды. При массовой проверке или длительной работе с пулом прокси вы всегда точно контролируете, какой IP привязан к конкретному профилю, что сводит к минимуму риск блокировок из-за пересечения отпечатков.

Главное правило при анализе Fraud Score — переводить отчеты в конкретные действия: все метрики в норме — продолжаем работу; есть противоречия — разбираемся в деталях; несколько критических маркеров — сразу меняем IP. А сам по себе балл (будь то 20, 50 или 80) имеет практический смысл только в контексте конкретного инструмента и его детальных полей.